AI compliance from idea to exit

Suivez un élément de son entrée jusqu’au résultat. Qui peut être touché, que risque cette personne et qui peut modifier l’issue ?

Règlement européen sur l’IA : développons-nous ou commercialisons-nous le système sous notre nom, le déployons-nous au travail ou modifions-nous sa finalité ? Vérifiez le champ territorial, dont le lieu d’utilisation des résultats. Justifiez chaque rôle.

Vérifiez les pratiques interdites avant tout essai sur des personnes. Par exemple, l’inférence d’émotions au travail connaît une exception étroite pour des raisons médicales ou de sécurité. Faites examiner toute interdiction possible avant de poursuivre.

Vous travaillez seul ? Notez à quel titre vous effectuez chaque contrôle. Demandez un second avis qualifié pour une décision grave ou peu familière. À 2–10, séparez réalisation et vérification. À 11–50, désignez responsables et remplaçants. Il s’agit de conseils d’organisation.

Comparez le statu quo, un processus manuel et un processus assisté par IA. Estimez le temps gagné après contrôle, le coût des erreurs, les frais du fournisseur et le coût de sortie.

Suivez une donnée de la collecte à la suppression, en passant par les requêtes, la recherche, le modèle, les résultats, les journaux et l’assistance. Précisez source, personnes, pays, destinataires, durée, sauvegardes et responsable du test d’effacement.

Fournisseur : recensez sous-traitants et sous-traitants ultérieurs, conditions d’entraînement ou de réutilisation, accès de l’assistance, contrat, incidents, restitution ou effacement, préavis de changement et sortie. Conservez conditions datées et questions ouvertes.

Localisez chaque transfert soumis à restriction. Consignez la décision d’adéquation ou la garantie applicable, l’évaluation et les protections supplémentaires. Distinguez clauses contractuelles types de l’UE, IDTA et addendum britanniques. Vérifiez accès de l’assistance étrangère et transferts ultérieurs.

Ingénierie et données : figez modèle, requête, jeu de données et paramètres. Testez des entrées courantes, rares et trompeuses par rapport à une référence convenue. Conservez résultats reproductibles et limites connues.

Fixez à l’avance finalité du test, provenance des données, réponses attendues, référence, effectif, seuils, défaillances critiques, responsable et date de nouvel essai. Incluez langues, handicap et conditions réelles selon le cas.

Exercice de sécurité : insérez une instruction hostile inoffensive dans une pièce jointe fictive. Testez export interdit, permission refusée, mauvais destinataire et fournisseur indisponible. Notez ce qui se passe à chaque frontière.

L’AIPD examine les dommages que l’utilisation de données personnelles pourrait causer et les moyens de les réduire. Le responsable du traitement doit la réaliser avant un traitement susceptible de présenter un risque élevé, y compris un pilote sur des données personnelles réelles.

Sollicitez l’avis du délégué à la protection des données s’il est désigné. Le cas échéant, consultez les personnes touchées. Notez objections, besoins d’accessibilité, décisions et motifs de tout écart justifié.

Un risque élevé subsiste-t-il malgré les mesures possibles ? Si oui, consultez l’autorité compétente avant le traitement au titre de l’article 36. Consignez échanges et réponse. La signature du fondateur ne remplace pas cette consultation.

Supervision humaine : la personne peut-elle voir les preuves, contester, corriger et arrêter l’étape suivante à temps ? Conservez la trace d’une décision humaine écartant ou modifiant le résultat. Un second clic seul prouve peu.

Vérifiez l’article 50 selon l’acteur et le résultat. Informer d’une interaction avec l’IA, apposer un marquage lisible par machine et signaler un hypertrucage sont des obligations distinctes assorties d’exceptions. Notez la règle applicable et les preuves à la date de diffusion.

Marketing, création et ventes : étayez les affirmations, vérifiez les droits sur les contenus et les mentions requises. Archivez textes et versions approuvés. Faites examiner toute promesse d’exclusivité, de propriété ou d’exactitude garantie.

Décision : autoriser dans des limites précises, autoriser avec protections déjà actives, suspendre en attendant des preuves ou arrêter. Notez points ouverts, périmètre légal, signataire, date d’effet, échéance et responsable du retour arrière.

Après lancement : désignez un responsable pour erreurs, plaintes, corrections, dérive, sécurité et coûts. Précisez échantillon, fréquence, seuil d’arrêt et personne pouvant désactiver. Consignez les changements et revalidez les changements importants.

Incident : arrêtez les actions dangereuses, protégez les preuves, examinez qui est touché, activez la procédure manuelle et justifiez les décisions de notification. Testez restauration saine et correction avant reprise.

Si une violation de données personnelles relève du régime britannique ou de celui de l’UE, le responsable notifie l’autorité sauf si un risque pour les droits des personnes est peu probable. Agissez sans retard injustifié et, si possible, dans les 72 heures après prise de connaissance. Si un risque élevé est probable, informez les personnes sans retard injustifié, sous réserve des exceptions de l’article 34. Le sous-traitant informe le responsable sans retard injustifié.

Réception : gardez une référence sécurisée aux mots d’origine. Notez première réception, responsable du traitement, juridiction, chaque droit, responsable du dossier, canal sûr et besoins d’accessibilité ou de représentation.

Comparez la finalité aux annexes I et III. La présélection de candidats figure parmi les exemples. Justifiez toute exception invoquée au titre de l’article 6(3) et chacune de ses conditions. Le profilage de personnes exclut cette exception.

Pour le chapitre III, sections 1 à 3, hors article 6(5), les dates révisées sont le 2 décembre 2027 pour l’annexe III et le 2 août 2028 pour l’annexe I. D’autres dispositions suivent leur propre calendrier.

Au Royaume-Uni, une décision importante exclusivement automatisée exige l’examen des articles 22A–22D, y compris les restrictions concernant les données sensibles et la base des intérêts légitimes reconnus. Dans l’UE, partez de l’article 22 et de ses exceptions précises. Testez la capacité réelle de réexamen humain.

Pour chaque finalité, identifiez l’organisme responsable. Qui décide pourquoi et comment les données personnelles sont utilisées ? Qui agit sur instruction ? Examinez séparément les usages propres à chaque fournisseur.

Pour chaque risque, écrivez cause → évènement → préjudice pour une personne. Avant protection, consignez probabilité, gravité, groupe touché et preuves. Indiquez mesure, testeur, échéance et risque subsistant.

Consignez processus et version, usages permis et exclus, références des preuves, décision motivée, désaccords, restrictions, responsable, vérificateur, date de revue, signature et heure. Gardez la version précédente.

Suivez une donnée de la collecte à la suppression, en passant par les requêtes, la recherche, le modèle, les résultats, les journaux et l’assistance. Précisez source, personnes, pays, destinataires, durée, sauvegardes et responsable du test d’effacement.

Autres droits : examinez séparément rectification, effacement, limitation, portabilité, opposition et réexamen humain. Consignez conditions, exceptions, destinataires à prévenir et toute conservation légale ou liée à un litige.

Classement privé : conservez formulaires remplis, preuves et signatures sous accès restreint. Publiez les formulaires vierges. Gardez une sauvegarde versionnée, une copie protégée indépendamment, et testez la restauration. Fixez la conservation de chaque pièce.